Un événement majeur qui a ébranlé le secteur
Dans la nuit du 30 octobre 2026, les portefeuilles chauds de Binance situés sur neuf chaînes ont été attaqués simultanément, et plus de 6,26 milliards de dollars d’actifs ont été transférés.
Le lendemain, le FBI a officiellement accusé un groupe de hackers nord-coréens d’avoir participé à ce vol. Les autorités américaines ont déclaré que, si la responsabilité de la Corée du Nord était confirmée, les États-Unis prendraient de nouvelles mesures diplomatiques.
Depuis le vol de 7 millions de dollars lors de l’attaque contre la plateforme sud-coréenne Bithumb en 2017, jusqu’à la disparition de plusieurs milliards de dollars de Binance en une seule nuit, la Corée du Nord, pays extrêmement isolé du réseau mondial, est devenue en moins de dix ans le prédateur numéro un du monde des cryptomonnaies.
I. Un PDF, une faille de 600 millions de dollars
La logique d’attaque préférée des pirates nord-coréens est la suivante : trouver une personne $\rightarrow$ la tromper $\rightarrow$ se servir d’elle pour ouvrir une porte.
•
Affaire Ronin Bridge (mars 2022, 620 millions de dollars) :
Les attaquants ont envoyé via LinkedIn une fausse lettre d’embauche au format PDF à un ingénieur senior de Sky Mavis. Dès que celui-ci a ouvert le fichier, un logiciel espion s’est infiltré dans le système. Il a permis aux pirates de dérober quatre clés de validateurs, auxquelles s’ajoutait une ancienne autorisation temporaire qui n’avait pas été révoquée. Résultat : 620 millions de dollars ont été volés.
•
Affaire Bybit (février 2025, 1,5 milliard de dollars) :
Les attaquants n’ont pas visé directement Bybit, mais ont infiltré l’infrastructure de Safe{Wallet}, son prestataire de portefeuilles multisignatures, puis ont introduit du code malveillant dans le processus de signature, compromettant ainsi toute la chaîne d’approvisionnement en amont.
•
Affaire Binance (octobre 2026, 6,26 milliards de dollars) :
Les pirates ont compromis l’ordinateur portable d’un ingénieur systèmes, puis se sont servis des systèmes internes et du protocole EIP-7702 pour faire signer au portefeuille chaud une autorisation de délégation malveillante. Les fonds ont finalement été dérobés dans leur intégralité.
II. « S’introduire dans la place » : votre collègue est peut-être un espion nord-coréen
Outre les attaques externes, la Corée du Nord infiltre discrètement de grandes entreprises de cryptomonnaies en y envoyant un grand nombre de travailleurs informatiques.
•
Ampleur de l’infiltration : selon les estimations de l’ONU, les travailleurs informatiques nord-coréens rapportent jusqu’à 600 millions de dollars par an au régime. D’après CrowdStrike, ils ont infiltré plus de 320 entreprises en seulement 12 mois.
•
Méthodes d’infiltration : ils utilisent de faux passeports et visas ainsi que l’IA générative lors des entretiens vidéo. Ils ciblent particulièrement les start-up qui pratiquent le télétravail et versent les salaires en cryptomonnaies.
•
Exemples notables :
•
En mars 2024, un développeur interne — en réalité un espion nord-coréen — a dérobé 62 millions de dollars au jeu NFT Munchables, sur la blockchain Blast. Après la pression de la communauté, il a toutefois rendu par surprise la totalité des fonds.
•
Le fondateur de Truflation a découvert que cinq membres de son équipe étaient des travailleurs nord-coréens, soit un tiers de l’effectif. L’entreprise a ensuite subi une fuite de clés privées et perdu 5 millions de dollars.
III. Le filtre des entretiens : le « Kim Jong-un » qui ne peut pas ouvrir la bouche
La communauté de la cybersécurité a découvert une méthode toute simple pour repérer les candidats nord-coréens : demander aux postulants de formuler une brève critique négative du dirigeant suprême nord-coréen, Kim Jong-un.
Lors d’une véritable opération d’infiltration menée sous couverture, un pirate nord-coréen se faisant passer pour un candidat a fait preuve d’une grande maîtrise technique. Mais lorsque l’intervieweur lui a demandé de donner son avis sur Kim Jong-un, il est aussitôt resté silencieux avant de quitter la visioconférence. En Corée du Nord, critiquer publiquement le dirigeant suprême peut conduire à l’emprisonnement de trois générations d’une même famille : un « détecteur de mensonges » impossible à contourner.
IV. Guerre secrète : neuf ans pour former des pirates informatiques au service de l’État
Le programme nord-coréen de cybercombat remonte à la « guerre secrète » des années 1980.
1.
Sélection impitoyable : chaque année, seuls 100 candidats sont retenus parmi les 5 000 qui postulent à l’Université polytechnique générale de l’industrie de Kim Chaek. Le principal critère est une origine politique (classe sociale) soumise à des exigences extrêmement strictes.
2.
Entraînement infernal : les élèves suivent chaque jour un entraînement intensif à la programmation et à la rétro-ingénierie des systèmes d’exploitation. Il leur est strictement interdit de dépendre d’outils existants : ils doivent écrire eux-mêmes des logiciels malveillants.
3.
Rémunération élevée : après leur diplôme, ils sont envoyés à l’étranger pour y opérer clandestinement. Leur salaire peut atteindre 2 000 dollars par mois (le double de celui d’un ambassadeur ordinaire en poste à l’étranger). À Pyongyang, ils se voient attribuer de grands appartements et le droit de s’y établir.
V. Les cinq branches de l’empire fantôme
Le groupe Lazarus, identifié par le département du Trésor américain, est en réalité un vaste réseau composé de plusieurs groupes opérationnels étatiques :
•
TraderTraitor (chasseur de gros butins) : cible principalement les plateformes d’échange, les dépositaires et les systèmes de portefeuilles (comme Ronin, WazirX et Bybit).
•
AppleJeus (assassin de la chaîne d’approvisionnement) : développe des logiciels contenant des chevaux de Troie et exploite des failles zero-day dans les navigateurs (comme dans l’affaire Radiant Capital).
•
BlueNoroff (prédateur financier) : s’attaquait autrefois aux banques traditionnelles et aux systèmes SWIFT ; il se tourne désormais entièrement vers les cryptomonnaies et le secteur du capital-risque.
•
Famous Chollima (infiltrés) : usurpe des identités pour se faire embaucher dans de grandes entreprises technologiques et de cryptomonnaies.
•
DangerousPassword (ratisse large) : envoie des courriels d’hameçonnage en masse et diffuse de faux logiciels de communication.
Conclusion
Après l’incident de Binance, Elon Musk a écrit sur X : « Chaque jour est un jour zéro » (Everyday is Zeroday).
Avec l’intervention croissante de l’intelligence artificielle, les pirates peuvent rédiger des courriels d’hameçonnage, falsifier des CV et générer du code malveillant à une vitesse démultipliée. Les attaquants n’ont besoin de réussir qu’une seule fois, tandis que les défenseurs doivent prévenir toute erreur.
Derrière un pays dont le PIB par habitant est inférieur à 2 000 dollars se trouve une machine de guerre étatique en activité depuis quarante ans. L’ensemble du secteur des cryptomonnaies doit faire face à cette dure réalité : votre adversaire est un État doté de l’ensemble des capacités de cybercombat d’une puissance nucléaire.